JP2007257099A - 生体情報登録装置、システム、及び方法 - Google Patents

Abstract

【課題】
ＩＣカードへの生体情報登録処理において、管理者が利用者に発行するＩＣカードに管理者自身の生体情報を不正に登録ようとすると、それを防止するのは極めて困難である。
【解決手段】
利用者に生体認証に対応したＩＣカードを発行する際、事前に登録しておいた管理者のテンプレートと新たに取得した利用者の生体特徴量とを照合し、一致しなかったときに利用者の生体特徴量をテンプレートとしてＩＣカードに登録して発行する。
【選択図】 図６

Description

本発明は、本人確認に用いられる生体情報を登録する生体情報登録装置、システム、及び方法に関する。

金融機関における預金の引き出しやインターネットを用いた電子商取引においては、他人の成りすましを防ぐために生体認証を使用した生体認証装置が提案されている。

近年本人確認の手段として、ＩＣカードに代表される携帯用電子媒体を用いた生体認証システムが導入されている。ＩＣカードは、磁気ストライプカードと比較しカードの複製が困難になると共に、内部情報が容易に盗難されないという安全性も確保できる。加えて、カード内部に格納できる情報量を飛躍的に増大できる。指紋や静脈等の生体情報をＩＣカードに保持し、その照合による生体認証技術として、特許文献１、２がある。

特許文献１には、指紋による個人識別システムが記載されている。この技術は事前にＩＣカードに利用者の指紋を記憶しておき、その事前に記憶しておいた指紋と認証時に得る指紋とをＩＣカード内で照合することで本人確認を実施するものである。

特許文献２には、携帯電子装置及び生体情報を用いた個人認証方法が記載されている。この技術は事前にＩＣカードなどの携帯電子装置に登録データ（生体情報の特徴量）を記憶しておき、登録データと認証時に得る特徴データ（生体情報の特徴量）とをＩＣカード内で照合することで本人確認を実施するものである。

特開昭６１−１９９１６２号公報 特開平１０−３１２４５９公報

しかし、上記の特許文献１、２を始めとする生体認証処理システムはいずれも生体情報登録装置の管理者が適切な登録処理をすることが前提であり、悪意を持った登録管理者の不正登録を防止するのは極めて困難である。例えば、管理者が利用者から生体認証対応のＩＣカードの新規発行希望を受け付ける場面を想定してみる。ＩＣカードへの生体情報登録処理において、管理者が利用者に発行するＩＣカードに管理者自身の生体情報を不正に登録しようとすると、それを防止するのは極めて困難である。

本発明の目的は、生体情報登録装置の管理者が携帯用電子媒体に生体情報を登録する際に、管理者自身の生体情報を不正に登録できないようにすることである。

利用者に生体認証に対応したＩＣカードを発行する際、事前に登録しておいた管理者のテンプレートと新たに取得した利用者の生体特徴量とを照合し、一致しなかったときに利用者の生体特徴量をテンプレートとしてＩＣカードに登録して発行する。

本発明により、生体情報登録装置の管理者が不正に管理者自身の生体情報を他人の携帯用電子媒体に登録するのを未然に防ぐことができる。また、管理者は常に他人の生体情報しか登録できないので、確実に利用者の生体情報をＩＣカードに登録できる信頼性の高い生体情報システムを実現することができる。

以下に本発明の実施に好適な実施形態の例を詳細に説明する。ただし、本発明は本実施形態に限定されるものではない。

本実施形態では、金融機関の営業店においてオペレータ（窓口担当者）がＩＣカードに利用者の生体情報を登録する生体情報登録処理を中心に説明する。ここで、生体情報とは本人であることを示す本人固有の情報であり、指静脈、掌（てのひら）静脈、指紋、虹彩、顔など様々なものを含むが、ここでは指静脈を例に挙げて説明する。利用者は金融機関、コンビニエンスストア等に設置された現金自動取引装置（ＡＴＭ）において、この生体情報登録処理を経て得たＩＣカードを用いて、生体認証を実施して取引を行うことができる。また、生体情報とは個人を特定するために有効な生体特徴量も含むものとする。

なお、ＩＣカードに事前に登録しておく（生体認証時に参照される）生体特徴量を以下では「テンプレート」とも呼ぶ。テンプレートを登録しておく媒体はＩＣカードに限らず、ＲＦＩＤタグなど携帯可能な電子的媒体であれば、任意の媒体で良い。

図１は生体情報の登録に用いる生体情報登録処理システム構成図の例である。

生体情報登録システムは、生体情報登録／認証装置１０１と、この生体情報登録／認証装置１０１を制御する登録用端末装置１０４とにより構成される。本システムは大きくは登録装置と端末装置とに分けられ、無線／有線により各々接続されている。生体情報登録／認証装置１０１は生体情報を読み取る生体情報読取部１０２、ＩＣカードに記憶している情報に対し読み書き機能を有するＩＣカード装置１０３、を備えている。登録用端末装置１０４は、ＣＲＴや液晶ディスプレイなどで構成され、操作案内を表示する表示部１０５、キーボード、マウスなどで構成され、窓口担当者の入力操作を受け付ける操作部１０６、を備えている。なお、表示部１０５と操作部１０６を合わせて操作部と呼んでも良い。

このシステムは金融機関のオペレータが登録用端末装置１０４を操作して、利用者用ＩＣカードに利用者の生体情報を登録するものである。具体的には、窓口担当者が、表示部１０５に表示される種々のメニューの中から操作部１０６により実施したい処理を選択入力し、生体情報の登録の他、金融機関における様々な処理を実施する。

オペレータのうち、特に生体情報の登録作業を担当する者を管理者と呼ぶことにする。なお、このシステムでは管理者の情報を登録する管理者用ＩＣカード１０７と、利用者の情報を登録する利用者用ＩＣカード１０８と、の２つのＩＣカードを用いている。

図２は生体情報登録／認証装置１０１と管理者用ＩＣカード１０７（利用者用ＩＣカード１０８）のブロック図の例である。

生体情報登録／認証装置１０１は、生体情報登録／認証装置１０１全体を制御するＣＰＵ２０１、様々な情報を記憶する記憶部２０２、生体情報読取部１０２、ＩＣカード装置１０３、及び登録用端末装置１０４と接続するインターフェースであるＩ／Ｏデバイス２０３、により構成される。

記憶部２０２は、主に各種プログラムや暗号鍵を記憶する領域であって、記憶してあるデータの書き換えが不可能なＲＯＭ２１０と、主にデータを記憶する領域であって、記憶したデータの書き換えが可能なＲＡＭ２２０とに分けられる。ここでは、ＲＯＭ２１０、ＲＡＭ２２０として説明するが、それぞれハードディスク、種々の半導体メモリによる構成でも良い。

ＲＯＭ２１０は、生体情報登録／認証装置１０１全体を制御する全体制御プログラム２１１、Ｉ／Ｏデバイス２０３を制御するＩ／Ｏデバイス制御プログラム２１２、生体情報に関する登録処理、認証処理を実施する登録／認証プログラム２１３、データの暗号化処理、復号化処理を実施する暗号／復号プログラム２１４、ＩＣカードへの情報読取処理、書込処理を実施するＩＣカードリードライト制御プログラム２１５、及びデータを暗号化、復号化するのに用いる暗号鍵２１６、を備えている。

ＲＡＭ２２０は、暗号化したテンプレートを記憶する暗号化テンプレート記憶エリア２２１、テンプレートを記憶するテンプレート記憶エリア２２２、生体画像を記憶する生体画像記憶エリア２２３、生体特徴量を記憶する生体特徴量記憶エリア２２４、照合結果データを記憶する照合結果データ記憶エリア２２５、暗号化した照合結果データを記憶する暗号化照合結果データ記憶エリア２２６、特性データを記憶する特性データ記憶エリア２２７、各種プログラムを実行するため展開場所として用いるプログラムロードエリア２２８、を備えている。なお、特性データとは例えば指静脈認証の場合、指の傾きなど登録に適した生体特徴量を選択するための基準となるデータである。

生体情報読取部１０２は、生体画像（指静脈パターン）を取得し、ＣＣＤカメラなどで構成される画像センサ（画像取得部）２３１、指に対し近赤外線を照射する生体取得用照明ＬＥＤ（生体照射部）２３２、とを備えている。

ＩＣカード装置１０３は、ＩＣカードへの情報読取処理、書込処理機能を有するＩＣカードリードライト部２４１、ＩＣカード１０５と接続するのに必要な接点端子２４２を備えている。なお、このＩＣカード装置１０３を単にリードライト部と呼んでも良い。

管理者用ＩＣカード１０７、利用者用ＩＣカード１０８は、ＩＣカード全体を制御するＣＰＵ２５１、生体情報に関連するデータや金融取引に係るプログラム等を記憶する記憶部２５２、生体情報登録／認証装置１０１と接続するするのに必要な接点端子２５３とを備えている。なお、ＩＣカード装置１０３とＩＣカードとを接点端子による接触式に限らず、非接触式でも構成できる。また、管理者用ＩＣカード１０７、利用者用ＩＣカード１０８ともにハード的には同じ構成をとっている。

なお、ＣＰＵ２０１がプログラムを実行する際には各プログラムをプログラムロードエリア２２８に展開して行っているので、それらの構成をまとめて制御部と称すこともできる。

図３は登録用端末装置のブロック図の例である。

登録用端末装置１０４は、登録用端末装置１０４全体を制御するＣＰＵ３０１、様々な情報を記憶する記憶部３０２、表示部１０５、操作部１０６、及び生体情報登録／認証装置１０１と接続するインターフェースであるＩ／Ｏデバイス３０３、により構成される。

記憶部３０２は、主に各種プログラムを記憶する領域であって、高速アクセスが可能なＨＤＤ３１０と、暗号鍵を記憶する領域であって、記憶してあるデータの書き換えが不可能なＲＯＭ３２０と、主にデータを記憶する領域であって、記憶したデータの書き換えが可能なＲＡＭ３３０とに分けられる。

ＨＤＤ３１０は、登録用端末装置１０４全体を制御する全体制御プログラム３１１、Ｉ／Ｏデバイス３０３を制御するＩ／Ｏデバイス制御プログラム３１２、登録や認証に関する様々な処理を実施する業務アプリケーションプログラム３１３、生体情報登録／認証装置を制御する生体情報登録／認証装置制御プログラム３１４、データの暗号化処理、及び復号化処理を実施する暗号／復号プログラム３１５、を備えている。

ＲＯＭ３２０は、データの暗号化、復号化するのに用いる暗号鍵３２１を備えている。

ＲＡＭ３３０は、照合結果データを記憶する照合結果データエリア３３１、暗号化した照合結果データを記憶する暗号化照合結果データエリア３３２、管理者のＩＤを記憶する管理者ＩＤテーブル３３３、各種プログラムを実行するため展開場所として用いるプログラムロードエリア３３４、を備えている。

なお、ＣＰＵ３０１がプログラムを実行する際には各プログラムをプログラムロードエリア３３４に展開して行っているので、それらの構成をまとめて制御部と称すこともできる。

生体情報登録／認証装置１０１、登録用端末装置１０４両方において、プログラムは全てそれぞれに備えられているＲＯＭに記憶しておき、実行する際にＲＡＭに一時的に展開する構成をとっている。例えば生体情報読取部１０２により生体情報を読み取るためＩＣカードリードライト制御プログラム２１５を実行する場合、ＩＣカードリードライト制御プログラム２１５をプログラムロードエリア２２８に展開して実行するのであるが、以下では簡略化のため、この展開の過程を省略して説明する。

また、各種プログラムは全体制御プログラム２１１、３１１の命令のもとに稼動するプログラムであるが、以下では簡略化のため、この命令の過程を省略して説明する。

以下では、図４〜６を用いて生体情報の登録処理を説明する。

図４は生体情報登録／認証装置１０１のＣＰＵ２０１が、又はＣＰＵ２０１からの指示に基づいて各機構、各部（プログラムも含む）が実行する利用者（新規登録希望者）のテンプレート登録処理全体のフローチャート例である。管理者が登録用端末装置１０４を操作し利用者の生体情報を利用者用ＩＣカード１０８に登録する過程を説明すると共にその操作に基づく各機構等が実行する処理、制御について説明する。

登録処理は大きく分けて、（１）管理者の本人確認、（２）ＩＣカードへの利用者の生体情報登録、の２つの処理に分けられる。後述のとおり、図４のフローチャートのステップ４０１〜４０９で管理者の本人確認を実施し、ステップ４１０〜４１３でＩＣカードへの利用者の生体情報登録処理を実施する。

前半部分の（１）管理者の本人確認について説明する。登録用端末装置１０４は表示部１０５にメニュー画面（登録、認証、変更、終了などの処理の選択を案内する画面）を表示し、窓口担当者の入力操作を操作部１０６により受け付ける。表示された取引項目の中から「登録」が操作部１０６によって選択されると、登録用端末装置１０４は表示部１０５に登録処理に関するメニュー画面（管理者本人確認、利用者の生体情報登録、終了などの処理の選択を案内する画面）を表示し、窓口担当者の入力操作を操作部１０６により受け付ける。表示された取引項目の中から「管理者本人確認」が操作部１０６によって選択されると、登録用端末装置１０４のＣＰＵ３０１は業務アプリケーションプログラム３１３、生体情報登録／認証装置制御プログラム３１４を実行し、生体情報登録／認証装置１０１に管理者本人確認処理開始の指示を出す。管理者本人確認処理開始の指示を受けたＣＰＵ２０１は登録／認証処理プログラム２１３を実行し、管理者本人確認処理を実施する。

なお、ここでの指示は、Ｉ／Ｏデバイス制御プログラム３１２の実行によりＩ／Ｏデバイス３０３が起動され、それとともに生体情報登録／認証装置１０１のＩ／Ｏデバイス制御プログラム２１２も実行されＩ／Ｏデバイス２０３が起動される、といった過程で行われる。このようにＩ／Ｏデバイス制御プログラム２１２、３１２は相互に接続してデータの送受信を行う。

ＣＰＵ３０１は登録用端末装置１０４の表示部１０５にＩＣカード装置１０３に管理者ＩＣカード１０７を挿入するよう案内を表示する。ＣＰＵ２０１は管理者により管理者用ＩＣカード１０７がＩＣカード装置１０３に挿入されるとそれを検知する（ステップ４０１）。ここで管理者用ＩＣカード１０７の接点端子２５３とＩＣカード装置１０３の接点端子２４２を接触させ、生体情報登録／認証装置１０１と管理者ＩＣカード１０７との接続を行う。

ステップ４０１の後に、管理者ＩＤのマッチング（照合処理）を実施する（ステップ４０２）。ＩＣカードリードライト部２４１により、管理者用ＩＣカード１０７の記憶部２５２から管理者ＩＤを読み取って、その管理者ＩＤと、予め登録用端末装置１０４の管理者ＩＤテーブル３３３に記憶しておいた管理者ＩＤとの照合を実施する（ステップ４０３）。ここで、一致していなければ登録処理を中止する（ステップ４０４）。ステップ４０４の後、管理者用ＩＣカード１０７をＩＣカードリードライト部２４１から排出する（ステップ４０５）。

なお、管理者は１人存在する形式でも、複数存在する形式でも良い。１つの装置に対し複数人の管理者を設定しておく場合には管理者ＩＤテーブル３３３に複数人分のＩＤを記憶する。管理者を１人だけ設定する形式ならば、記憶容量が少なくてすむので管理が簡単になる。それに対し、管理者を複数人設定する形式ならば、ある１人の管理者が不在のときでも他の者が装置を使用できるので便利である。

一方、ステップ４０３で２つの管理者ＩＤが一致していれば、次に管理者の生体認証処理を実施する（ステップ４０６）。この生体認証処理は管理者ＩＤによる本人確認に続いて、２度目の本人確認である。ＩＤと生体認証という２つの異なる種類の本人確認を実施することで、管理者の本人確認を正確に実施できる。生体認証処理については、図５にて後述する。

ＣＰＵ２０１は管理者の生体認証が成功したか否かを判断する（ステップ４０７）。生体認証処理が成功でなかった場合は、生体認証の実施回数をカウントし、実施回数が規定回数内であれば（ステップ４０８）、ステップ４０６に戻り、再び管理者の生体情報を取得して生体認証を実施する。一方、実施回数が規定回数を超えていれば、登録を中止する（ステップ４０４）。ステップ４０４の後、管理者ＩＣカード１０７をＩＣカードリードライト部２４１から排出する（ステップ４０５）。なお、ここでいう成功とは、照合が実施できたか否かを指すのではなく、２つの生体情報（登録データと認証データ）の特徴が所定値以上一致していることを指す。

それに対し、ステップ４０７で照合結果が成功であった場合には、管理者ＩＣカード１０７をＩＣカードリードライト部２４１から排出して（ステップ４０９）、ステップ４１０以後の利用者の生体特徴量登録作業へと進む。なお、ステップ４０６の管理者生体認証処理で管理者ＩＣカード１０７から読み取った（取得した）管理者のテンプレートを生体情報登録／認証装置１０１に記憶しておくことが本発明のポイントになり、以下の説明では生体情報登録／認証装置１０１側に記憶した例で説明する。しかしながら、後述のとおり管理者のテンプレートを登録用端末装置１０４側に記憶させて、登録用端末装置１０４側で照合する態様であっても良い。

これで、前半部分の『（１）管理者の本人確認』が終了する。これから、後半部分の『（２）ＩＣカードへの利用者の生体情報登録』について説明する。

登録用端末装置１０４は表示部１０５に登録処理に関するメニュー画面（案内画面）を表示し、窓口担当者の入力操作を操作部１０６により受け付ける。表示された取引項目の中から「利用者の生体情報登録」が操作部１０６によって選択されると、登録用端末装置１０４のＣＰＵ３０１は業務アプリケーションプログラム３１３、生体情報登録／認証装置制御プログラム３１４を実行し、生体情報登録／認証装置１０１に利用者の生体情報登録処理開始の指示を出す。利用者の生体情報登録処理開始の指示を受けたＣＰＵ２０１は登録／認証処理プログラム２１３を実行し、利用者の生体情報登録処理を実施する。このように登録用端末装置１０４の制御部は登録案内の機能を有している。

ＣＰＵ３０１は登録用端末装置１０４の表示部１０５に生体情報登録／認証装置１０１に利用者用ＩＣカード１０８を挿入するよう案内を表示する。管理者により利用者用ＩＣカード１０８がＩＣカード装置１０３に挿入されるとＣＰＵ２０１はそれを検知する（ステップ４１０）。ここで利用者用ＩＣカード１０８の接点端子２５３とＩＣカード装置１０３の接点端子２４２を接触させ、生体情報登録／認証装置１０１と管理者ＩＣカード１０８との接続を行う。

ステップ４１０の後に、利用者の生体特徴量登録処理を実施する（ステップ４１１）。利用者の生体特徴量登録処理については、後ほど図６にて詳述する。生体特徴量登録処理が終わると、利用者用ＩＣカード１０８をＩＣカードリードライト部２４１から排出しする（ステップ４１２）。

ステップ４１２の後に、管理者の暗号化テンプレート、生体画像、生体特徴量、利用者の生体画像、生体特徴量、特性データ（図６にて詳述）を消去し（ステップ４１３）、登録処理全体が終了する。ここで消去するのは以上のデータで、管理者のテンプレートは生体情報登録／認証装置１０１に記憶しておき、次回の生体情報登録処理に利用する。

これにより同じ管理者が連続して生体情報登録処理を行う場合には、管理者は同一人物であるのだから本人確認を実施する必要はなくなる。よって、前半部分の『（１）管理者の本人確認』ステップ４０１〜４０９を省略し、『（２）ＩＣカードへの利用者の生体情報登録』ステップ４１０〜４１３を実施すればよいので、処理の時間が短くて済む利点がある。もちろん管理者のテンプレートを永久的に残す必要はなく、長時間使用しないので生体情報登録／認証装置１０１の電源を落としておくような場合、営業店での登録業務が終了する場合、別の管理者に交代する場合などに消去するのが望ましい。

なお、このフローチャートでは管理者ＩＤの照合処理の後に管理者の生体認証処理を実施しているが、この処理の順番を逆にしても良いし、管理者ＩＤの照合処理を省略し生体認証処理のみを実施する構成にしても良い。

図５を用いて、図４のステップ４０６に相当する、上述の『（１）管理者の本人確認』のうち、「管理者の生体認証処理」を詳しく説明する。ＣＰＵ２０１はＩＣカードリードライト制御プログラム２１５を実行する。管理者用ＩＣカード１０７の記憶部に格納されている暗号化されたテンプレートを、ＩＣカードリードライト部２４１により読み取り、暗号化テンプレート記憶エリア２２１に記憶する（ステップ５０１）。ここで記憶するテンプレートとはＩＣカードに登録済のテンプレート全てを指し、通常複数存在する。例えば、指静脈情報であれば左右の手に５本ずつで計１０個の指静脈情報、掌静脈情報であれば左右の手２つで計２個の掌静脈情報を登録しなければならない。なぜならば１個でも管理者の生体情報との比較漏れがあると、比較漏れしてしまった管理者の生体情報を利用者用ＩＣカード１０８に不正登録してしまう可能性があるからである。このように生体情報登録／認証装置１０１の制御部は暗号化テンプレート読み取りの機能を有している。

次にＣＰＵ２０１は暗号／復号プログラム２１４を実行する。暗号化テンプレート記憶エリア２２１から暗号化テンプレートを読み出し、暗号鍵２１６を用いて暗号化テンプレートを復号化した後、作成した管理者のテンプレートをテンプレート記憶エリア２２２に記憶する（ステップ５０２）。このように生体情報登録／認証装置１０１の制御部はテンプレート復号化、テンプレート読み取りの機能を有している。

ＣＰＵ３０１は、表示部１０５に管理者の登録済の指を生体情報読取部１０２にかざすよう案内を表示する。それに応じて、管理者は指をかざす。

ＣＰＵ２０１は、登録／認証プログラム２１３を実行し、生体情報読取部１０２に生体情報読取開始の指示を出す。なお、後述のステップ５０５まではＣＰＵ２０１がこのプログラムを読んで実行する処理である。生体情報読取部１０２は、画像センサ２３１の画像取得可能領域に生体（指）がかざされると生体取得用照明ＬＥＤ２３２により生体（指）に近赤外線を照射し、画像センサ２３１で生体画像（指静脈パターン）を取得し、生体画像記憶エリア２２３に記憶する（ステップ５０３）。要するに生体情報登録／認証装置１０１の制御部は生体画像取得部としての機能を有している。

次に生体画像記憶エリア２２３から生体画像を読み出し、生体画像から生体特徴量を抽出し、生体特徴量記憶エリア２２４に記憶する（ステップ５０４）。このように生体情報登録／認証装置１０１の制御部は生体特徴量を取得（記憶も含めて）する機能、即ち生体特徴量取得部を有している。

そして、事前に記憶しておいた管理者のテンプレートと新たに得た管理者の生体特徴量との照合を実施して照合結果データを作成し、照合結果データ記憶エリア２２５に記憶する（ステップ５０５）。この照合は例えば、以下の作業により行う。管理者のテンプレートと新たに得た生体特徴量との距離値を複数回計算し、最も小さい距離値が閾値未満であれば成功、閾値以上であれば失敗（成功でない）と判断する。なお、距離値とは２つの特徴量間の距離を表すものであり、その近さによって認証処理を実施することができる。このように生体情報登録／認証装置１０１の制御部は新たに取得した管理者の生体特徴量と、事前に記憶しておいた管理者のテンプレートとの照合を実施する機能を有している。後述するが、制御部は利用者の生体特徴量と上述の管理者のテンプレートとも照合する（ステップ６０５参照）、という機能も有しており、説明の都合上、前者の照合機能（照合処理）を第１の照合部、後者の照合機能を第２の照合部とも言う。

次に作成した照合結果データを登録用端末装置１０４に安全に送るため、照合結果データを暗号化する。ＣＰＵ２０１は暗号／復合プログラム２１４を実行する。暗号鍵２１６
を用いて照合結果データを暗号化した後、作成した暗号化照合結果データを暗号化照合結果データ記憶エリア２２６に記憶する（ステップ５０６）。このように生体情報登録／認証装置１０１の制御部は照合結果データ読み取り、照合結果データ暗号化の機能を有している。

次にＣＰＵ２０１はＩ／Ｏデバイス制御プログラム２１２を実行する。暗号化照合結果データエリア２２６から暗号化照合結果データを読み出し、Ｉ／Ｏデバイス２０３を介して登録用端末装置１０４に送信する（ステップ５０７）。このように生体情報登録／認証装置１０１の制御部は暗号化照合結果データ読み取りの機能を有している。

一方、ＣＰＵ３０１はＩ／Ｏデバイス３０３を介して暗号化照合結果データを受信し、暗号化照合結果データ記憶エリア３２１に記憶する（ステップ５０８）。このように登録用端末装置１０４の制御部は暗号化照合結果データ読み取りの機能を有している。

次にＣＰＵ３０１は暗号／復合プログラム３１５を実行する。暗号鍵３１５を用いて暗号化照合結果データを復号化し、それによって作成した照合結果データを照合結果データエリア３２２に記憶する（ステップ５０９）。また、照合結果を表示部１０５に表示する。このように登録用端末装置１０４の制御部は暗号化照合結果データ復号化、照合結果データ読み取りの機能を有している。

図６を用いて、図４のステップ４１１であり、上述の『（２）ＩＣカードへの利用者の生体情報登録』を詳しく説明する。データの格納形式については、これまで生体情報登録／認証装置１０１のＲＡＭ２２０の各種データエリアに対応するデータを格納するとして説明してきたが、図６でも同様にＲＡＭ２２０の各種データエリアに対応するデータを格納するものとする。例えば、図５では管理者の生体画像を記憶するステップがあり、図６では利用者の生体画像を記憶するステップがある。この場合には対象者が異なるが、同じ種類のデータなので、どちらも同じ生体画像記憶エリア２２３に記憶することになる。

ＣＰＵ３０１は、表示部１０５に登録する指を生体情報読取部１０２にかざすよう案内を表示する。それに応じて、利用者は登録する指を生体情報読取部１０２にかざす。

ＣＰＵ２０１は、登録／認証プログラム２１３を実行し、生体情報読取部１０２に生体情報読取開始の指示を出す。生体情報読取部１０２は、画像センサ２３１の画像取得可能領域に生体（指）がかざされると生体取得用照明ＬＥＤ２３２により生体（指）に近赤外線を照射し、画像センサ２３１で生体画像（指静脈パターン）を取得し、生体画像記憶エリア２２３に記憶する（ステップ６０１）。

次に生体画像取得エリア２２３から生体画像を読み出し、生体画像から生体特徴量、特性データ（基準データ）を抽出し、それぞれ生体特徴量記憶エリア２２４、特性データ記憶エリア２２７に記憶する（ステップ６０２）。

ここで予め設定された規定数の生体特徴量、特性データを抽出したかを判断する（ステップ６０３）。規定数分の生体特徴量、特性データが抽出できていなかった場合には、ステップ６０１に戻り、再び新たに生体画像を取得し、生体特徴量、特性データを抽出する。

それに対して、規定数分の生体特徴量、特性データが抽出できていた場合には、ステップ６０２で取得した特性データを基に登録に最適な生体特徴量を規定数の生体特徴量の中から選択する（ステップ６０４）。

次に、選択した利用者の生体特徴量と、テンプレート記憶エリア２２２に記憶しておいた管理者のテンプレートとの照合を実施する（ステップ６０５）。ここで選択した生体特徴量と一致する管理者のテンプレートがあるか否かを判断する（ステップ６０６）。一致するものがあった場合には、登録を中止する（ステップ６０７）。なお、登録中止となった場合には、登録用端末装置の表示部に不正登録があった旨を表示するほか、警備員などに通達するため図示しない警報装置により警報を発する形態の方が望ましい。このように生体情報登録／認証装置１０１の制御部は新たに取得した利用者の生体特徴量と、事前に記憶しておいた管理者のテンプレートとの第２照合を実施する機能を有している。

なお、管理者のテンプレートとは照合に用いた指だけでなく、管理者用ＩＣカード１０７に記憶されている全ての指のテンプレートとするのが望ましい。管理者の全種類のテンプレートと利用者の生体特徴量を比較することで、管理者の生体情報が利用者用ＩＣカード１０８に登録されてしまう不正を防ぐことが可能になる。

一方、ステップ６０６において一致するものがないと判断した場合、即ち上述した距離値が閾値以上のときには、ＣＰＵ２０１は暗号／復合プログラム２１４を実行し、選択した利用者の生体特徴量をテンプレートとして暗号化する（ステップ６０８）。ここで暗号化まで終了した生体特徴量の数が規定数に達したか否かを調べる（ステップ６０９）。規定数に達していなければ、ステップ６０１に戻り、まだ取得していない種類の指の生体特徴量取得を開始する。

それに対し、規定数に達していれば、それまでに取得した規定数分の暗号化したテンプレートを利用者用ＩＣカード１０８に登録する（記憶部２５２に記憶する）（ステップ６１０）。このように生体情報登録／認証装置１０１の制御部は生体特徴量を利用者用ＩＣカード１０８に登録する機能を有している。

なお、ここでは生体特徴量をテンプレートとして暗号化してから、生体特徴量数が規定値に達したか否かを調べている。しかし、順番を変えて、生体特徴量数が規定値に達したか否かを調べてから、生体特徴量を暗号化するようにしても良い。

以上のような生体情報登録システムを採用することにより、管理者が自らの生体情報を利用者用ＩＣカードに勝手に管理者の生体情報を登録してしまう不正行為を未然に防ぐことができる。

なお、本実施形態では管理者と利用者の２者による登録処理を説明してきたが、管理者が管理者用ＩＣカードに記憶している管理者テンプレートを書き換えてしまうと、いくらでも管理者用ＩＣカードに不正登録できてしまう問題が生じる。その場合、管理者用ＩＣカードの情報を書き換えることのできる権限を管理者より上位のもの、例えば管理監督者のみに与え、管理者には書き換えできないようにすることでセキュリティが向上する。

また、本実施形態では生体認証処理を生体情報登録／認証装置内で実施する態様で説明してきたが、この処理を登録用端末装置、又はＩＣカードで実施するようにしても良い。そのときは照合などの機能を端末装置やＩＣカードに備える構成にする。

登録用端末装置で実施する場合には、本実施形態と同様の流れで生体認証を実施すればよい。これにより、生体認証に必要なプログラムを無理に生体情報登録／認証装置に設置する必要がなくなり、生体情報登録／認証装置には画像センサやＩＣカード装置を備えるだけの簡素な構成で済む。

ＩＣカードで実施する場合にも、本実施形態と同様の流れで生体認証を実施すればよいが、管理者のテンプレートの記憶場所に関しては注意が必要になる。そこでＩＣカードリードライト部２４１を少なくとも２つ備え一方に管理者用ＩＣカード、もう一方に利用者用ＩＣカードを入れられるようにする。そして第２照合の際には管理者のテンプレートを生体情報登録／認証装置１０１には持ち込まず、利用者のＩＣカードにダイレクトに送るようにする。これによりセキュリティが向上する。

また、図４のステップ４１３のような生体情報消去のタイミングに関しては上記で説明したものの他にも様々な態様が考えられるが、そのうち特に効果の得られる２つの例について説明する。（ア）利用者１人分の生体情報登録が終了する毎に、利用者側のみの生体情報に関するデータを消去し、何回か分の生体情報登録が終了すると、管理者側の生体情報に関するデータを消去する方法。（イ）利用者１人分の生体情報登録が終了する毎に、利用者側のみの生体情報に関するデータを消去し、本人確認実施後または最後の生体情報登録処理終了後一定時間が経過すると、自動的に管理者側の生体情報に関するデータを消去する方法。

（ア）及び（イ）の方法によれば、例えば管理者が休憩などで一時生体情報登録／認証装置のそばを離れてしまったすきに、悪意を持った者が管理者に成りすまして生体情報登録処理を実施しようとする場面で効果を発揮する。いわばスクリーンセイバーのように一定時間が経つと、再度本人確認を実施しなければ生体情報登録処理を実施できなくなる。よって、本人確認実施後または最後の生体情報登録処理終了後から規定時間が経過する、または規定回数分の生体情報登録処理が終了するまでは管理者の本人確認を省略しつつ運用できるので便利である。

なお、（ア）の場合には生体情報登録／認証装置１０１に、利用者のテンプレートの登録回数を計数するカウンタと、カウンタによって計数された登録回数が予め決められた回数に達すると前記生体特徴量取得部により取得した管理者の生体特徴量及び利用者の生体特徴量を消去する生体情報消去部を備えるようにする。（イ）の場合には生体情報登録／認証装置１０１に、利用者のテンプレートの登録終了からの経過時間を計測するタイマと、タイマによって計測された経過時間が予め決められた時間に達すると前記生体特徴量取得部により取得した管理者の生体特徴量及び利用者の生体特徴量を消去する生体情報消去部を備えるようにする。

今までの説明では主に管理者の生体情報を管理者が所有する管理者用ＩＣカードに登録しておく方式で説明してきたが、生体情報登録／認証装置に全ての管理者の生体情報を登録してしまう方式も考えられる。しかし、たとえ管理者であっても生体情報登録／認証装置に常に生体情報を置いておくのはセキュリティ上問題があるので、生体情報をＩＣカードに登録して必要になったら逐次ダウンロードする本方式の方がよい。

生体情報登録システム構成図の例。 生体情報登録／認証装置とＩＣカードのブロック図の例。 登録用端末装置のブロック図の例。 登録処理全体のフローチャートの例。 管理者生体認証処理処理のフローチャートの例。 生体特徴量登録処理のフローチャートの例。

符号の説明

１０１…生体情報登録／認証装置、１０２…生体情報読取部、１０３…ＩＣカード装置、１０４…登録用端末装置、１０５…表示部、１０６…操作部、１０７…管理者用ＩＣカード、１０８…利用者用ＩＣカード、２０１…ＣＰＵ（生体情報登録／認証装置）、２０２…記憶部（生体情報登録／認証装置）、２０３…Ｉ／Ｏデバイス（生体情報登録／認証装置）、２１０…ＲＯＭ、２２０…ＲＡＭ、２３１…画像センサ、２３２…生体取得用ＬＥＤ、２４１…ＩＣカードリードライト部、２４２…接点端子（生体情報登録／認証装置）、２５１…ＣＰＵ（管理者・利用者用ＩＣカード）、２５２…記憶部（管理者・利用者用ＩＣカード）、２５３…接点端子（管理者・利用者用ＩＣカード）、３０１…ＣＰＵ（登録用端末装置）、３０２…記憶部（登録用端末装置）、３０３…Ｉ／Ｏデバイス（登録用端末装置）、３１０…ＨＤＤ、３２０…ＲＯＭ、３３０…ＲＡＭ

Claims (16)

1. 生体から生体画像を取得する画像センサと、ＩＣカードに記憶されている情報を読み取る、またはＩＣカードに情報を書き込むリードライト部と、制御部とを備えた生体情報登録装置と、
   操作案内の表示、または入力操作を受け付ける操作部を備えた端末装置と、
   を有し、認証に用いる生体情報を登録する生体情報登録システムにおいて、
   前記生体情報登録装置の前記制御部は、
   前記画像センサにより取得した生体画像から生体特徴量を抽出する生体特徴量取得部と、
   前記リードライト部により管理者用ＩＣカードに予め記憶されたテンプレートを読み取って記憶するテンプレート読取部と、
   前記端末装置からの管理者生体情報照合命令に基づき、前記生体特徴量取得部により取得した管理者の生体特徴量と、前記テンプレート読取部により取得した管理者のテンプレートとを照合した照合結果データを得る第１照合部と、
   前記端末装置からの利用者生体情報登録命令に基づき、前記生体特徴量取得部により取得した利用者の生体特徴量と、前記テンプレート読取部により取得した前記管理者のテンプレートとを照合する第２照合部と、
   前記第２照合部による照合の結果、前記利用者の生体特徴量と前記管理者のテンプレートとが不一致と判断されたときに、前記リードライト部により利用者用ＩＣカードに前記利用者の生体特徴量をテンプレートとして登録する登録部と、
   を有することを特徴とする生体情報登録システム。
2. 請求項１記載の生体情報登録システムにおいて、
   前記制御部は、前記第２照合部による照合の結果、前記利用者の生体特徴量と前記管理者のテンプレートとが一致と判断されたときに、前記端末装置の操作部に不正登録が実施されていることを表示するよう制御することを特徴とする生体情報登録システム。
3. 請求項１記載の生体情報登録システムにおいて、
   前記端末装置は、前記第１照合部により得られた照合結果データが照合成功であった場合に、前記表示部により利用者の生体情報登録を実施するか否かを案内し、
   当該利用者の生体情報登録を実施する場合に、前記利用者生体情報登録命令を前記生体情報登録装置の前記制御部に指示することを特徴とする生体情報登録システム。
4. 請求項１乃至３記載の生体情報登録システムにおいて、
   前記端末装置は、
   前記登録部による利用者用ＩＣカードへの前記利用者の生体特徴量のテンプレートとしての登録回数を計数するカウンタと、
   前記カウンタにより計数された登録回数が予め決められた回数に達すると、前記生体特徴量取得部により取得した前記管理者の生体特徴量及び前記利用者の生体特徴量を消去する生体情報消去部と、を有することを特徴とする生体情報登録システム。
5. 請求項１乃至３記載の生体情報登録システムにおいて、
   前記端末装置は、
   前記登録部により利用者用ＩＣカードへ前記利用者の生体特徴量がテンプレートとして登録されると、登録終了からの経過時間を計測するタイマと、
   前記タイマにより計測された経過時間が予め決められた時間に達すると、前記生体特徴量取得部により取得した前記管理者の生体特徴量及び前記利用者の生体特徴量を消去する生体情報消去部と、を有することを特徴とする生体情報登録システム。
6. 本人確認に利用する生体情報を登録する生体情報登録システムにおいて、
   生体情報の登録を希望する利用者の生体情報を取得する生体情報取得部と、
   管理者の生体情報を記憶する記憶部と、
   前記生体情報取得部により取得した利用者の生体情報と前記記憶部に予め記憶していた管理者の生体情報とを照合した照合結果データを得る照合部と、
   前記照合部により得た照合結果が不一致と判断された場合に、前記生体情報取得部により取得した生体情報を第１携帯用電子媒体に登録する制御部と、
   を有することを特徴とする生体情報登録システム。
7. 利用者が希望する生体情報の登録を受け付ける生体情報登録システムにおいて、
   生体から生体画像を取り込む画像センサと、
   前記画像センサから取り込まれた生体画像から生体特徴量を抽出する特徴量抽出部と、
   暗号化された管理者のテンプレートを記憶する第１記憶部と、
   前記第１記憶部に記憶された暗号化された管理者の生体特徴量を取得し、復号化する復号部と、
   前記復号部により復号化された管理者のテンプレートを記憶する第２記憶部と、
   前記画像センサ及び前記特徴量抽出部により得た管理者の生体特徴量と、前記第２記憶部に予め記憶された管理者の生体特徴量とが一致するか否か照合し、第１照合結果を得る第１照合部と、
   前記画像センサ及び前記特徴量抽出部により得た利用者の生体特徴量と、前記第２記憶部に予め記憶された管理者の生体特徴量とが一致するか否か照合し、第２照合結果を得る第２照合部と、
   前記第１照合部により得た第１照合結果が成功で、かつ、前記第２照合部により得た第２照合結果が失敗であった場合、利用者の生体特徴量を第１携帯電子媒体に登録する制御部と、
   を有することを特徴とする生体情報登録システム。
8. 個人を識別可能な生体情報を登録する生体情報登録システムにおいて、
   生体から生体画像を取り込む画像センサと、
   前記画像センサから取り込まれた生体画像から生体特徴量を抽出する特徴量抽出部と、
   管理者が管理者本人であることを示す個人識別番号と、暗号化された管理者のテンプレートと、を記憶する第１記憶部と、
   前記第１記憶部に記憶された、暗号化された管理者の生体特徴量を取得し、復号化する復号部と、
   前記復号部により復号化された管理者のテンプレートを記憶する第２記憶部と、
   前記第１記憶部に記憶された個人識別番号を読み取る読取部と、
   前記個人識別番号を記憶する第３記憶部と、
   前記画像センサ及び前記特徴量抽出部により得た管理者の生体特徴量と、前記第２記憶部に予め記憶された生体特徴量とが一致するかどうか照合し、第１照合結果を得る第１照合部と、
   前記画像センサ及び前記特徴量抽出部により得た利用者の生体特徴量と、前記第２記憶部に予め記憶された生体特徴量とが一致するかどうか照合し、第２照合結果を得る第２照合部と、
   前記読取部により読み取られた個人識別番号と、前記第３記憶部に予め記憶された個人識別番号一致するかどうか照合し、第３照合結果を得る第３照合部と、
   前記第３照合部により得た第３照合結果が成功であって、かつ、前記第１照合部により得た第１照合結果が成功であって、かつ、前記第２照合部により得た第２照合結果が失敗であった場合、利用者の生体特徴量を第１携帯電子媒体に登録する制御部と、
   を有することを特徴とする生体情報登録システム。
9. 請求項６乃至８記載の生体情報登録システムにおいて、
   前記第１記憶部は第２携帯電子媒体に備えられていることを特徴とする生体情報登録システム。
10. 請求項６乃至９記載の生体情報登録システムにおいて、
    前記生体情報は指静脈情報であることを特徴とする生体情報登録システム。
11. 請求項６乃至１０記載の生体情報登録システムにおいて、
    前記制御部は、利用者の生体特徴量を前記第１携帯電子媒体に登録後、それまでに得た生体情報を全て消去することを特徴とする生体情報登録システム。
12. 請求項６乃至１０記載の生体情報登録システムにおいて、
    前記制御部は、利用者の生体特徴量を前記第１携帯電子媒体に登録後、前記第２記憶部に記憶した生体情報以外のそれまでに得た生体情報は全て消去することを特徴とする生体情報登録システム。
13. 請求項６乃至１０記載の生体情報登録システムにおいて、
    前記制御部は、利用者の生体特徴量を前記第１携帯電子媒体に登録する登録処理が終了する毎に前記第２記憶部に記憶した生体情報以外のそれまでに得た生体情報は全て消去し、規定回数の登録を処理すると前記第２記憶部に記憶した生体情報も消去することを特徴とする生体情報登録システム。
14. 請求項６乃至１０記載の生体情報登録システムにおいて、
    前記第１照合部により得た第１照合結果が成功であるとわかったときから時間を計測するタイマーを有し、
    前記制御部は、利用者の生体特徴量を前記第１携帯電子媒体に登録する登録処理が終了する毎に前記第２記憶部に記憶した生体情報以外のそれまでに得た生体情報は全て消去し、前記タイマーにより計測された時間が規定時間に達すると前記第２記憶部に記憶した生体情報も消去することを特徴とする生体情報登録システム。
15. 請求項６乃至１０記載の生体情報登録システムにおいて、
    前記第１記憶部に予め記憶しておく生体情報は管理者が有する全ての生体情報であることを特徴とする生体情報登録システム。
16. 請求項６乃至１５記載の生体情報登録システムにおいて、
    前記第１携帯電子媒体及び前記第２携帯電子媒体は、ＩＣカードを含むことを特徴とする生体情報登録システム。
    

Images